Vercel 開源 deepsec 程式碼安全 harness，專為大型程式庫設計的 Agent 驅動漏洞掃描工具。
Vercel 開源「deepsec」，這款以程式撰寫 Agent 為核心的安全 harness，能在使用者自家基礎設施上運行，專門挖掘大型程式庫中難以察覺的漏洞。它支援 CLI 優先操作、沙盒擴展、plugin 相容的程式撰寫 Agent，並可搭配 AI Gateway 或自有訂閱進行推論，無需雲端服務暴露敏感原始碼。
架構與工作流程
deepsec 核心利用 Claude 和 Codex 模型，最高規格啟用 Opus 4.7 全力調查及 GPT 5.5 xhigh 推理模式，對程式庫進行客製化剖析。掃描流程分為五階段：
Scan：純 regex 掃描所有檔案，標記安全敏感區域作為後續焦點。
Investigate：Agent 逐一調查標記檔案，追蹤資料流、檢查緩解措施，並產生帶嚴重度評級的可行動發現。
Revalidate：第二輪 Agent 驗證調查結果，移除假陽性並重新分類嚴重度。
Enrich：調查完成後，Agent 利用 git 元資料及其他選用服務，識別負責修復各問題的貢獻者。
Export：匯出指令將發現格式化為指示，便於轉換成人類或程式撰寫 Agent 的工單。
擴展與效能
單機掃描大型程式庫可能耗時數天，deepsec 支援選用 fanout 至 Vercel 沙盒進行遠端並行執行，Vercel 自身程式庫掃描常擴展至 1,000+ 並行沙盒。內部使用數月後，他們測試於多個大型開源程式庫，證實其在大規模 monorepo 的實用性；使用者可在筆電上運行，無需額外雲端設定，僅需既有 Claude 或 Codex 訂閱即可推論。
生產環境應用案例
deepsec 已應用於 Vercel 自身 monorepo 及客戶程式庫，發現 auth 條件中的細微邊緣案例，促使開發自訂掃描器 plugin 涵蓋所有認證路徑。
Unkey 共同創辦人兼 CEO James Perkins 表示：「我們一直尋找開源程式庫的安全掃描工具，deepsec 掃描最徹底、發現最多，且真陽性率良好。」
dub.co（行銷歸因平台，具認證存取、資料庫互動及多後端服務）開源版經 deepsec 掃描，創辦人 Steven Tey 回饋：「我們收到許多自動化安全報告，多數不可行動；deepsec 是首款浮現我們希望安全工程師標記問題的工具，且在我們控制的基礎設施運行。」
假陽性與最佳適用
deepsec 發現中假陽性率約 10-20%，作者認為真陽性影響重大，故透過 revalidate 步驟讓 Agent 進一步驗證以降低假陽性。他們對此結果滿意，但強調 deepsec 最適用於應用程式與服務；對程式庫或框架，需自訂提示與掃描器才具實用性。
自訂與 plugin 系統
deepsec 內建 plugin 系統，適應特定程式庫，常見為自訂掃描器：針對 auth 模型、資料層或團隊慣例調校的 regex 匹配器。建議先運行初始掃描，然後讓程式撰寫 Agent 依據先前結果生成匹配器，例如詢問「檢視 ./my-app 先前運行，是否需新增自訂 deepsec 匹配器以發現更多漏洞候選？」此方法強化工具對專案的適配性。
模型相容性
無需特殊「cyber model」，deepsec 相容 Anthropic 與 OpenAI 的 cyber 微調模型（專為安全任務設計，基模拒絕的任務也能處理），但 off-the-shelf 模型如 Opus 4.7 與 GPT 5.5 即足夠。內建分類器檢查每步研究後是否被拒絕，實測中拒絕非問題。
起步與回饋
起步簡單：在程式庫根目錄執行 npx deepsec init，產生 ./.deepsec 目錄用於系統設定與調查目錄；依指令輸出跟進，完整文件在 GitHub。雖然已廣泛內部使用，但仍處開發早期，歡迎 GitHub 回饋與貢獻。Vercel CTO Malte Ubl 於 2026 年 5 月 4 日發布此公告，強調其在內部與客戶測試的成功，凸顯開源工具對大型程式庫安全的實戰價值。
